Vorlage

Verordnung «%ASFF_YYYY_ID»

2. Richtlinien für das Zertifizierungsschema

2.1 Geltungsbereich und Grundsätze der Richtlinien

Das Zertifizierungsschema gilt für mobile Anwendungen und ihre verbundenen

Dienste, die für die Prüfung der Anforderungen dieser Verordnung verwendet werden.

Die technischen Anforderungen werden aus den Zielen und den Anforderungen der

Common Criteria, den Anforderungen dieser Verordnung und dem MASVS

(OWASP) abgeleitet.

2.2 Planung der Aktivitäten

Die verschiedenen Phasen müssen von der Zertifizierungsstelle mit dem Antragsteller

geplant und vereinbart werden.

2.3 Prüfung der relevanten Sicherheitsartefakte

Alle von der Anwendung implementierten Sicherheitsartefakte (z. B. Verfahren, Vor-

lagen, Werkzeuge und Testberichte, die während der Entwicklung der Applikation

verwendet werden) müssen einer Desktop-Prüfung unterzogen werden.

Tabelle 1 «Sicherheitsanforderungen» listet die wichtigsten zu prüfenden Sicherheits-

artefakte auf, basierend auf aktuellen Vorgaben und Standards für mobile Anwendun-

gen. Es werden vier verschiedene Bewertungsstufen definiert.

Abkürzung Beschreibung

BE Basisprüfung. Das Element wird durch einfaches Lesen geprüft. Ziel ist es, den Text

grundlegend zu erfassen und zu verstehen. Fragen, die sich der Prüfer stellen sollte: Was sagt der Text aus? Welche Informationen kann ich dem Text entnehmen?

CE Kritische Prüfung. Das Element wird durch kritisches Lesen geprüft. Ziel ist es, zu

beurteilen, wie der Text funktioniert, ihn zu analysieren, zu interpretieren und zu be- werten. Fragen, die sich der Prüfer stellen sollte: Wie funktioniert der Text? Wie wird argumentiert? Welche Annahmen liegen dem Text zugrunde? Was bedeutet der Text?

SE Stichprobenprüfung. Das Element besteht aus mehreren Dokumenten oder Abschnit-

ten, und ein systematisches Stichprobenverfahren wird angewendet, um einige davon zu prüfen. Die Prüftiefe für die ausgewählten Elemente entspricht der kritischen Prü- fung. Die Auswahlkriterien basieren auf folgenden Prinzipien: Dokumente mit grös- serer sicherheitsrelevanter Auswirkung werden priorisiert.

NE Nicht geprüft. Das Element wird nicht geprüft.

Tabelle 1: Sicherheitsanforderungen

Tabelle 2 «Sicherheitsziele» legt die verbindlichen Sicherheitsziele und -kontrollen

nach dem MASVS (OWASP) und den Common Criteria für mobile Anwendungen

fest. Sie bilden die Grundlage für die Audits und müssen umfassend geprüft werden.